Ative HTTPS with a commercial SSL certificate - Quick Start - Certificate Management Service: Central de Documentação do Alibaba Cloud

Os certificados de teste pessoal oferecem tipos de certificado e opções de implantação limitados para sites pessoais ou desenvolvimento em estágio inicial. Já os certificados SSL comerciais disponibilizam diversos tipos, marcas e opções de domínio — incluindo certificados curinga, multidomínio e de domínio híbrido — para sites de todos os portes. Este guia orienta na compra, solicitação e implantação de um certificado comercial.

Os certificados de teste pessoal oferecem tipos de certificado e opções de implantação limitados para sites pessoais ou desenvolvimento em estágio inicial.

Visão geral do procedimento

Implante um certificado SSL comercial em três etapas:

Step 1: Purchase a commercial SSL certificate: Obtenha uma cota de certificado SSL comercial.
Step 2: Apply for an SSL certificate: Envie as informações do certificado para validação e emissão pela CA.
Step 3: Deploy the SSL certificate: Implante o certificado emitido em um servidor web ou serviço de cloud.

Pré-requisitos

Conclua a verificação de nome real. Para mais informações, consulte Individual identity verification ou Enterprise identity verification.
Se o site estiver implantado na China continental, conclua o registro ICP conforme exigido pelo Ministério da Indústria e Tecnologia da Informação (MIIT). Caso contrário, o acesso ao site será afetado. Para mais informações, consulte What is an ICP filing?.

Etapa 1: Compre um certificado SSL comercial

Acesse o console do Certificate Management Service.
No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management.

Na aba Commercial Certificates, clique em Buy Now. Configure as seguintes especificações, clique em Buy Now e conclua o pagamento.

Parâmetro	Descrição
Domain Type	Selecione Single Domain para vincular o certificado a um único domínio, subdomínio ou endereço IPv4 (por exemplo, `www.example.com` ou `1.1.X.X`). Para todos os subdomínios de primeiro nível, selecione um domínio curinga.
Brand	Selecione Alibaba Cloud para a opção com melhor custo-benefício.
Certificate Type	O padrão é DV Certificate (certificado de validação de domínio), adequado para sites pessoais, serviços de aplicativos, sites informativos e ambientes de teste.
Quantity	Fixado em 1 (uma instância de certificado por pedido).
Duration	Selecione 1 Year para um período de assinatura de um ano.

Nota

Para instruções mais detalhadas sobre a compra e configuração de certificados comerciais, consulte Purchase a commercial certificate.

Etapa 2: Solicite um certificado SSL

Retorne à aba Commercial Certificates. Na coluna Actions, clique em Apply for Certificate.

No painel Apply for Certificate, configure os seguintes parâmetros e clique em Submit.

Parâmetro	Descrição
Domains to Bind	Insira o nome de domínio do seu site, por exemplo, `www.example.com`. Se você comprou um nome de domínio curinga, insira `*.example.com`.
Domain Verification Method	Selecione um método para verificar a identidade do proprietário do domínio. Se o DNS de `example.com` não for gerenciado na conta atual (por exemplo, DNS de terceiros ou outra conta Alibaba Cloud), selecione apenas Manual DNS Verification ou File Verification. Conclua a verificação de domínio conforme orientado após o envio. Caso contrário, o certificado não será emitido. Se o Alibaba Cloud DNS do domínio estiver na conta atual, o sistema seleciona automaticamente Automatic DNS Verification e conclui a verificação automaticamente — basta aguardar a emissão.
Contact	Clique em Create Contact para criar um novo contato ou selecione um contato existente. Certifique-se de que as informações de contato estejam corretas.
Company	Selecione a empresa proprietária do domínio.
Encryption Algorithm	Selecione RSA como algoritmo de criptografia do certificado. O RSA é o algoritmo de criptografia assimétrica mais utilizado e possui ampla compatibilidade.
CSR Generation	Selecione Automatic. O Certificate Management Service gera automaticamente um CSR usando o algoritmo de criptografia especificado em Encryption Algorithm. Um CSR (Certificate Signing Request) contém as informações do servidor e da organização enviadas à CA para análise.

Nota

Os limites de parâmetros e a configuração detalhada são abordados em Apply for a certificate.

Opcional: Caso tenha selecionado Manual DNS Verification ou File Verification, conclua a verificação de domínio conforme orientado. Para mais informações e exemplos de operação, consulte Domain ownership verification.
- Ao escolher Automatic DNS Verification, nenhuma ação é necessária. Aguarde a emissão do certificado. Os certificados DV geralmente são emitidos em 1 a 15 minutos.
- Para a opção Manual DNS Verification, adicione manualmente os registros DNS no seu serviço de resolução de DNS para verificar a propriedade do domínio. Depois que os registros DNS entrarem em vigor (geralmente em alguns minutos), o sistema conclui automaticamente a verificação do domínio e emite o certificado.
  
  Nota
  Se a resolução de DNS do domínio não for gerenciada na conta atual da Alibaba Cloud (por exemplo, ao usar um serviço de DNS de terceiros ou outra conta da Alibaba Cloud), selecione apenas a verificação manual de DNS. Após a adição dos registros DNS, o sistema detecta automaticamente o resultado da verificação. Não é necessário acionar manualmente a verificação no console.

Etapa 3: Implante o certificado SSL

Implante o certificado em um servidor web

Este exemplo usa o CentOS 8.0 (64 bits) com o NGINX 1.14.2. As etapas variam de acordo com o sistema operacional e o servidor web. Para outros servidores (Apache, Tomcat, IIS), consulte Deploying certificate manually.

Acesse o console do Certificate Management Service.
No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management.
Na aba Commercial Certificates, localize o certificado de destino e clique em Actions > Download.
Na linha Server Type para NGINX, clique em Download na coluna Actions.

Descompacte o pacote de certificado SSL baixado.

Os arquivos recebidos após a descompactação variam dependendo do método de geração de CSR selecionado ao enviar a solicitação de certificado. A tabela a seguir descreve os arquivos.

Geração de CSR	Arquivos incluídos no pacote de certificado
Automatic ou Select Existing CSR	Arquivo de certificado (formato PEM): Contém a cadeia de certificados completa codificada em Base64. Após a descompactação, o arquivo é nomeado como `CertificateID_BoundDomain`. Arquivo de chave privada (formato KEY): O nome padrão é BoundDomainName.
Manual	Se você inserir um CSR gerado no console do Certificate Management Service, o arquivo de certificado baixado será idêntico ao Automatic. Se você inserir um CSR não criado no console do Certificate Management Service, o download incluirá apenas o arquivo de certificado no formato PEM e não incluirá uma senha de certificado ou arquivo de chave privada. Use uma ferramenta de certificado para converter o arquivo de certificado para o formato necessário. Para mais informações sobre a conversão do formato de um certificado, consulte Convert certificate formats.

Conecte-se ao servidor e crie um diretório de certificado no diretório conf do NGINX.

# Go to the default NGINX configuration directory. This is the default directory for a manually compiled and installed NGINX. If you have changed the default installation directory or used another installation method, adjust the path accordingly.
cd /usr/local/nginx/conf  
# Create a directory named cert for storing certificates.
mkdir cert

Carregue o arquivo de certificado e o arquivo de chave privada no diretório de certificado do servidor NGINX (/usr/local/nginx/conf/cert).

Nota
Use o recurso de upload de arquivos locais de uma ferramenta de acesso remoto, como PuTTY, Xshell ou WinSCP. Ao usar uma instância do Elastic Compute Service da Alibaba Cloud, consulte Upload or download files para mais informações.

Edite o arquivo de configuração nginx.conf do NGINX para modificar as configurações relacionadas ao certificado.

Execute o seguinte comando para abrir o arquivo de configuração.
```
sudo vim /usr/local/nginx/conf/nginx.conf
```
Nota
Caso não tenha certeza da localização do nginx.conf, execute nginx -t para verificar o caminho do arquivo de configuração.
No nginx.conf, localize a configuração do servidor HTTPS.

Nota
Se o bloco de servidor mostrado na figura anterior não existir no nginx.conf ou em um arquivo referenciado pela diretiva include, adicione-o manualmente.

Remova o caractere de comentário # do início de cada linha e modifique-as conforme o exemplo a seguir:

server {
     # The default access port for HTTPS is 443.
     # If the default HTTPS access port is not configured here, NGINX may fail to start.
     listen 443 ssl;
     
     # Enter the domain bound to your certificate.
     server_name <YOURDOMAIN>;
 
     # Enter the absolute path to your certificate file.
     ssl_certificate cert/<cert-file-name>.pem;
     # Enter the absolute path to your private key file.
     ssl_certificate_key cert/<cert-file-name>.key;
 
     ssl_session_cache shared:SSL:1m;
     ssl_session_timeout 5m;
     
     # Customize the TLS protocol type and cipher suite (the following is an example. Evaluate whether you need this configuration).
     # A higher TLS protocol version improves the security of HTTPS communication, but has lower browser compatibility than lower versions.
     ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
     ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;

     # Prioritize server cipher suites. Enabled by default.
     ssl_prefer_server_ciphers on;
 
 
    location / {
           root html;
           index index.html index.htm;
    }
}

Opcional: Configure o redirecionamento automático de HTTP para HTTPS.
Para redirecionar automaticamente todas as solicitações HTTP para páginas HTTPS, use a diretiva rewrite.

Importante
No arquivo nginx.conf, localize o bloco de configuração do servidor HTTP e adicione o seguinte código de redirecionamento.

Se não encontrar esse bloco, insira o seguinte trecho de código após o bloco server {} no arquivo nginx.conf. Após a configuração, o arquivo nginx.conf conterá dois blocos server {}.
```
server {
    listen 80;
    # Enter the domain bound to your certificate.
    server_name <YOURDOMAIN>;
    # Redirect all HTTP requests to HTTPS using the rewrite directive.
    rewrite ^(.*)$ https://$host$1;
    location / {
        index index.html index.htm;
    }
}
```
A figura a seguir mostra a configuração esperada:

Reinicie o NGINX para aplicar a configuração.
```
# Go to the executable directory of the NGINX service.
cd /usr/local/nginx/sbin
# Reload the configuration file.
./nginx -s reload
```
Nota
- Se ocorrer o erro the "ssl" parameter requires ngx_http_ssl_module: recompile o NGINX e adicione a configuração --with-http_ssl_module durante a compilação e instalação.
- Se ocorrer o erro "/cert/3970497_demo.aliyundoc.com.pem":BIO_new_file() failed (SSL: error:02001002:system library:fopen:No such file or directory:fopen('/cert/3970497_demo.aliyundoc.com.pem','r') error:2006D080:BIO routines:BIO_new_file:no such file): remova o / inicial do caminho relativo do certificado. Por exemplo, altere /cert/cert-file-name.pem para o caminho relativo correto cert/cert-file-name.pem.

Verifique a implantação

Após a implantação do certificado, verifique a implantação acessando o nome de domínio vinculado ao certificado.

https://yourdomain   #Replace yourdomain with your domain name.

Se o ícone aparecer na barra de endereços do navegador, a instalação do certificado foi bem-sucedida.
A partir do Chrome 117, o Chrome substituiu o ícone HTTPS na barra de endereços pelo ícone . Clique neste ícone e consulte o exemplo a seguir. Quando o símbolo aparecer, a instalação do certificado foi bem-sucedida.

Se o certificado não tiver efeito após a instalação, consulte How do I fix certificate errors shown in my browser?

Implante o certificado em um serviço de cloud

Este exemplo implanta um certificado emitido no Alibaba Cloud CDN. Para outros serviços de cloud ou servidores web, consulte Deploy a certificate.

Acesse o console do Certificate Management Service.
No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management.
Na aba Commercial Certificates, localize o certificado emitido. Na coluna Actions, clique em Deploy.
Na página Select Resource, selecione CDN e o recurso correspondente e, em seguida, clique em Preview and Submit.

O sistema recupera automaticamente os recursos de todos os serviços de cloud. Se o recurso de destino estiver ausente, verifique o status de sincronização na área Total Resources. O tempo de sincronização varia de acordo com a quantidade de recursos.
No painel Task Preview, verifique as informações da instância do certificado e do recurso do serviço de cloud. Se tudo estiver correto, clique em Submit.

A visualização mostra a quantidade de certificados correspondentes e as tentativas de implantação consumidas. Uma contagem de correspondência igual a 0 indica que o certificado não corresponde ao recurso selecionado, resultando em falha na implantação.

Verifique a implantação

Acesse o console do CDN.
No painel de navegação à esquerda, clique em Domain Names.
Na página Domain Names, encontre o nome de domínio de destino e clique em Manage na coluna Actions.
No painel de navegação do domínio, clique em HTTPS.
Verifique as informações do certificado implantado. Se HTTPS Certificate mostrar Enabled, a implantação foi bem-sucedida.

Nota

Aguarde a atualização do cache do CDN para que as informações atualizadas do certificado apareçam.